Le champ d'application du nouveau PDAF est vaste. Notamment, l'influence de la loi dépasse les frontières suisses, s'appliquant aux "circonstances qui ont un effet en Suisse, même si elles ont été initiées à l'étranger". Cette compétence élargie garantit que les droits des personnes en matière de données restent intacts, quelle que soit l'origine du traitement des données. En outre, la loi actualisée introduit des mesures obligeant les entités étrangères qui traitent des données personnelles d'individus suisses à se conformer aux mandats de la loi, ce qui renforce l'engagement de protéger la confidentialité des données au-delà des frontières internationales.

Exemples d'application du champ d'application élargi :

🛍️ Plates-formes internationales de commerce électronique : Places de marché en ligne étrangères s'adressant aux consommateurs suisses.

📱 Réseaux de médias sociaux : Les géants des médias sociaux d'outre-mer traitent les données des utilisateurs suisses à des fins de contenu sur mesure et de publicités ciblées.

☁️ Fournisseurs de services en nuage : Services en nuage étrangers stockant ou traitant des données personnelles de résidents suisses, même en dehors du territoire suisse.

🏥 Innovateurs dans le domaine de la santé : Entités étrangères de technologie médicale traitant des données de santé sensibles de patients suisses, comme les services de télémédecine.

💼 Institutions financières : Acteurs financiers internationaux gérant des données personnelles de clients suisses, que ce soit pour des transactions, des investissements ou la conformité.

🌐 Innovations IoT : Les fabricants d'appareils IoT, quel que soit leur emplacement, collectant et traitant des données personnelles de particuliers suisses (comme les trackers de santé ou les appareils domestiques intelligents).

📢 Réseaux publicitaires en ligne : Réseaux publicitaires étrangers qui suivent le comportement en ligne des internautes suisses à des fins de publicités personnalisées ou de profilage.

📊 Pionniers de l'analyse de données : Les entreprises d'analyse de données à l'étranger qui analysent les données personnelles à des fins de compréhension et de prise de décision.

La position de la Suisse sur cet aspect est moins directe que dans le cadre du site RGPD, qui stipule que les organisations étrangères ne doivent pas nommer de représentant dans l'UE si elles y disposent d'un "établissement". Dans ce contexte, un établissement "implique l'exercice effectif et réel d'activités par le biais d'arrangements stables". Il peut s'agir d'une succursale ou d'une filiale, mais la forme juridique (c'est-à-dire l'existence ou non d'une personnalité juridique) n'est pas le facteur déterminant, de sorte qu'il peut également s'agir, par exemple, d'un bureau de vente. Dans le cadre du PAFD, il n'y a pas de référence spécifique au terme "établissement" et aucune indication sur le type de "domicile" ou de structure organisationnelle nécessaire en Suisse pour exempter les sociétés étrangères de l'obligation de nommer un représentant.

Selon la FAQ des autorités suisses, l'expression "à grande échelle" désigne les cas où les données ne sont pas traitées de manière isolée ou lorsque le traitement des données représente une part importante des activités de la personne ou de l'entité en question.
Par exemple, il peut s'agir du traitement des données d'un patient par un cabinet médical ou un hôpital. En revanche, le traitement isolé des données d'un employé absent pour cause de maladie par une entreprise ne constitue pas un traitement à grande échelle. Il y a traitement à grande échelle notamment lorsque le traitement des données constitue une partie essentielle des activités de l'entreprise.